Frage:
Wie gehen Sie mit sicherheitsrelevanten Zwangsstörungen (d. H. Paranoia) um?
user1971
2011-04-26 13:18:37 UTC
view on stackexchange narkive permalink

Ich habe kurz googelt, bevor ich danach gefragt habe, und mir den folgenden Artikel ausgedacht, der 2005 aus Schneiers Blog verlinkt wurde. Er antwortet mir nicht wirklich Frage jedoch.

Da die Gesellschaft von Anfang der neunziger Jahre bis heute in das Internetzeitalter eingetreten ist, hat sich die Computersicherheit von einem obskuren, fast irrelevanten Thema zu etwas entwickelt, von dem einige Kenntnisse für alle wünschenswert sind oder sein sollten. Was vor 10 oder 15 Jahren als paranoid angesehen wurde, ist heutzutage einfach eine gute Vorsichtsmaßnahme.

Obwohl es wahrscheinlich keinen Einstein braucht, um herauszufinden, wohin der Trend geht, ist dies sehr wahrscheinlich Fahren Sie auf diese Weise aufgrund einiger Faktoren fort:

  1. Es geht um Geld. Die Leute verdienen Geld (und viel davon!) Mit Sicherheitsverletzungen.
  2. Dumme und / oder naive Leute. Aus diesem Grund befindet sich die größte Sicherheitslücke normalerweise im Meatspace und kann nicht wirklich gepatcht werden.
  3. Funktionen vs. Sicherheit; Funktionen verdienen jetzt Geld, Sicherheit zahlt sich nur im Falle eines Verstoßes aus.
  4. Aufgrund der Faktoren 1-3 wird auf absehbare Zeit weiterhin Geld aus Sicherheitsverletzungen verdient. Da Geld verdient wird, wird sich die Technologie zur Verletzung der Sicherheit weiter verbessern.
  5. Hardware und technologischer Fortschritt. GPUs, Regenbogentabellen, spezielle Hardware, Passwort-Cracker, Sie nennen es, es ist entweder hier oder um die Ecke und hat das Potenzial, das, was einst sicher und unsicher war, zu machen.
  6. Google und eine Gesellschaft von netzbegeisterten Menschen. Es ist leicht zu untersuchen, wie eine bestimmte Sicherheitsmaßnahme verletzt werden kann, und wenn sie existiert, wird sie wahrscheinlich gefunden.
  7. ol>

    Dies impliziert, dass es oft einfacher ist, ein wenig über Bord zu gehen und Dinge so zu gestalten, dass sie einmal sehr sicher sind, als Ihre Sicherheit ständig überprüfen zu müssen. Obwohl sich xkcd über 4096-Bit-RSA lustig macht, wird jetzt empfohlen, mehr als 1024-Bit zu verwenden. Da ich 4096-Bit-RSA in einer Zeit verwendet habe, in der 1024 Standard war und das Googeln von 4096-Bit-RSA nur ein oder zwei Links ergab (ich glaube, es war 2004 oder 2005), muss ich die Schlüssel für diese Systeme noch nicht ändern.

    Eine weitere Implikation ist, dass Sicherheit durch Dunkelheit wahrscheinlich nur in einigen Formen der physischen Sicherheit wirklich nützlich ist und nicht, wenn Ihre Systeme leicht untersucht werden können. Dies liegt daran, dass der erste Schritt bei einem gezielten Angriff darin besteht, Ihr Ziel zu untersuchen, und der nächste Schritt darin, Techniken zu erforschen, um das Ziel zu besiegen (mithilfe von Google). Sie denken also gut bei sich selbst. Wenn ich wirklich ein gutes Maß an Sicherheit wünsche, muss ich es tatsächlich richtig sicher machen, anstatt nur sicher auszusehen. Und es kann einen großen Unterschied in den Kosten (Zeit oder Geld) zwischen den beiden geben.

    Um etwas richtig sicher zu machen, müssen Sie Ihre Abwehrkräfte analysieren und Brainstorming-Methoden anwenden, mit denen sie verletzt werden können. Das braucht Zeit. Wenn Sie intelligent sind, werden Sie eine nahezu endlose Vielfalt von Methoden finden, um eine bestimmte Verteidigung zu durchbrechen. Die Implementierung von Abwehrmaßnahmen braucht Zeit. Es gibt auch einige schwerwiegende Nachteile bei einigen der Verteidigungen. Haben Sie jemals eine Datei verschlüsselt und den Schlüssel verloren? Sie werden verstehen, wovon ich spreche.

    Wenn Sie es so betrachten, ist es sehr verlockend, einen "Nuke it from orbit" -Ansatz für die Sicherheit zu wählen. Zerkleinern Sie nicht nur Papiere in Ihrem Müll, verbrennen oder kompostieren Sie sie. Verwenden Sie Noscript und nur Whitelist-Websites, wenn Sie ihnen vertrauen. Von einer VM aus navigieren. Verwenden Sie immer sichere Passwörter. Verwenden Sie niemals dasselbe E-Mail-Konto, denselben Benutzernamen oder dasselbe Passwort in einem Internetforum. Vertraue dich nicht anderen Menschen an - sie könnten dich in Zukunft verbrennen. usw. usw. usw.

    Es ist auch leicht zu sagen, dass niemand an Ihren Daten interessiert ist oder dass Sie nichts zu befürchten haben, wenn Sie nichts zu verbergen haben. Das hängt davon ab, wer du bist. Einige Leute werden Ziele sein, egal was passiert. Ein größeres Unternehmen wird ein Ziel sein. Wohlhabende Menschen oder ihre Familien werden Ziele sein. Unpopuläre politische Ansichten (auch solche, die Sie nicht mehr vertreten oder die zu einem bestimmten Zeitpunkt beliebt waren) könnten Sie zu einem Ziel machen. Haben Sie einen Feind oder Stalker? Sie sind ein Ziel.

    Einige Vorsichtsmaßnahmen sind erforderlich. Einige Vorsichtsmaßnahmen sind möglicherweise nicht erforderlich. Manchmal ist es schwer zu sagen, welches welches ist und Ihr Gehirn zum Abschalten zu bringen. Was tun Sie also, wenn Ihre Zwangsstörung in Verbindung mit Ihrem Interesse an Sicherheit eine nicht endende Schleife der Paranoia verursacht? Es ist leicht zu sagen: "Betrachten Sie die Kosten für die Implementierung von Sicherheitsmaßnahmen im Vergleich zu den Kosten für Verstöße * Wahrscheinlichkeit eines Verstoßes, aber selbst dies ist weitaus mehr als die meisten Menschen früher und kann viel Zeit in Anspruch nehmen.

    TL; DR: Wie können Sie die Tendenz, alles bis zur Paranoia zu sichern, mit einer gewissen Praktikabilität ausgleichen? Gibt es einige mentale Tricks, mit denen Sie sagen können: "Whoa, hör auf, du bist gerecht Verschwenden Sie Ihre Zeit hier. "?

    Ich denke, ein Teil dessen, was mich dazu gebracht hat, eine nicht terminierende Schleife zu starten, ist die Idee, dass wir niemals ein Risiko eingehen sollten, wenn wir nicht mit den Konsequenzen leben können. Diese Aussage kann nicht wörtlich genommen werden. Wenn Sie zu dem logischen Schluss kommen, bedeutet dies, dass wir niemals irgendwohin reisen können. Ich denke, Sie müssen eine Art persönliche Bar haben, um Entscheidungen zu treffen, aber ich muss noch eine herausfinden Sehr schnelle Heuristik dafür.

    Einige Dinge im Leben sollten auch 100% zuverlässig / sicher sein. Zum Beispiel die Schaltfläche zum Starten eines Atomangriffs als Reaktion zu einer Bedrohung. Wenn dieser Knopf gedrückt wird, stoßen wir alle an. Aber was tun wir in dieser Situation, wenn 100% ige Sicherheit oder Zuverlässigkeit unmöglich ist? Ich bedaure die Ingenieure, die damit beauftragt sind, solche Dinge anzurufen.

@user1971 - Danke für die Zusammenfassung "TL; DR". Denn im Ernst ... TL; DR.
Schönes Beispiel dafür, wie man eine einfache Frage nimmt und sie beängstigend genug macht, um für Zwangsstörungen zu werben :) Wie auch immer, gute Frage!
Sie erkennen, dass der Artikel ein Witz war, oder? :) :)
Trotzdem möchte ich diese Frage mit +100 beantworten! Es gibt wirklich Aufschluss darüber, wo es sein sollte, und wir brauchen hier intelligentere Fragen zur Risikoanalyse / zum Management.
@nealmcb: Danke. :) Ich brauchte die TL; DR, um zu verstehen, dass es einige rationale Gründe gibt, die Sicherheit bis zur Zwangsstörung ernst zu nehmen. Schön, dass es dir gefallen hat.
@Avid: Es war ein Witz? Ich hatte den Eindruck, dass er es meistens ernst meinte und ein bisschen launisch war. z.B. Ich sehe den Sinn in einigen Dingen nicht wirklich, z. den Kindern Smartcards geben. Auch einiges davon ist unrealistisch; z.B. Ich musste Kompromisse eingehen, indem ich meinem 3-Jährigen ein Passwort gab, das kurz, aber kein wirkliches Wort ist. ;) Und vielen Dank für das Lob.
@user1971 oh ja. Anfangs war ich mir auch nicht sicher, aber die Kommentare der Kinder machten es deutlich ... lesen Sie auch einige der Kommentare zu Schneiers Beitrag.
Fünf antworten:
#1
+24
Rory Alsop
2011-04-26 13:42:17 UTC
view on stackexchange narkive permalink

Ich sehe hier zwei Seiten:

  1. Die meisten Regierungsstellen, die ich überprüfe / prüfe, neigen dazu zu glauben, dass sie die sichersten sind, weil sie alles sichern, und so ist es auch sollte sein!
    Tatsächlich sind die Organisationen, die den Weg der Sicherheitsnazi ​​beschreiten, in der Regel offener als diejenigen, die diesbezüglich pragmatisch sind. Zum Beispiel kann es in Ordnung sein, Ihre Benutzer mit Smartcards für den physischen und Desktop-Zugriff zu stark zu sperren, aber wenn Sie es ihnen unmöglich machen, ihre Arbeit zu erledigen (wenn ihnen Arbeit von jemand anderem übergeben wurde, der im Urlaub ist, aber Die Arbeit wird einer anderen Karte zugewiesen. Dann können sie sehr gut umgehen - wie das Teilen von Karten. B. vorgeben, Karten zu verlieren, um Ersatz zu erhalten, und hoffen, dass die alten Karten für eine Weile nicht ungültig werden usw.

  2. Die meisten Organisationen des privaten Sektors möchten das Nötigste dafür ausgeben Um die Anforderungen der Regulierungsbehörde zu erfüllen, gilt das gegenteilige Argument: Ich muss mich für mehr Sicherheit einsetzen.

  3. ol>

    Letztendlich kommt es darauf an Verständnis der Organisation und Ausarbeitung eines angemessenen Kontrollniveaus, das ihrem Risikoappetit entspricht und auf Vorstandsebene verständlich ist. Passend hier ist es möglicherweise nicht sehr sicher, oder es ist Fort Knox mit Glocken - jede Organisation ist anders!

#2
+19
bethlakshmi
2011-04-26 19:16:44 UTC
view on stackexchange narkive permalink

Ja, ich denke es ist möglich, zu paranoid zu sein. Obwohl ich gerade mit einer Reihe von darstellenden Künstlern über Sicherheit gesprochen habe - Leute ohne Geld, die wirklich ihre Zeit damit verbringen müssen, ihre Arbeit zu bewerben und neue Arbeit zu schaffen ... und nicht das Fort Knox der Sicherheit zu bauen, nur damit sie Facebook nutzen können . Sie brauchen gesunden Menschenverstand, ein grundlegendes Verständnis einiger Problembereiche und ein paar billige Tricks. Sie benötigen keine Smartcards (und können diese nicht unterstützen), keine OCD-Einstellung zur Informationsausgabe oder bewaffnete Wachen, die ihren physischen Umkreis sichern. Sicherlich ist dies für ein großes Finanzinstitut oder eine nationale Regierung gerechtfertigt, aber es gibt eine Frage der Grade.

Auch für ein Zielsystem mit hohem Risiko müssen Sie sicherstellen, dass die vorhandenen Sicherheitsmaßnahmen vorhanden sind Sicherheitsmaßnahmen, die helfen werden. In einem Kriegsgebiet ist ein 14-stelliges Passwort ein No-Go - zu schwer, um unter Stress zu tippen. Aber physische Sicherheit ist ein Muss. Machen Sie Passwörter im Umkreis einfacher und stellen Sie sicher, dass Sie Leute mit Waffen am Rand haben. Sie müssen für die Umgebung Ihres Systems entwerfen.

Eines der besten Dinge, die ich in den letzten Jahren gesehen habe, ist das Konzept der "Risikoanalyse". Kurz gesagt - wie wertvoll ist das, was Sie schützen? Wie teuer ist der Schutzmechanismus? Wie wahrscheinlich ist es, dass jemand tatsächlich die Sicherheitsanfälligkeit ausübt, die Sie schützen? Wie geschickt und ressourcenreich werden Ihre Angreifer sein und wonach werden sie suchen?

Am Ende ist jede Sicherheit die beste Anstrengung, es gibt keine perfekte Sicherheit. Also, was verbringst du Zeit damit zu perfektionieren? Und ist das Geld und die Zeit, um diese Dinge zu schützen, den Wert dieser Dinge wert?

Das ist mein Gedanke für die Beantwortung der Frage, wie viel genug ist.

Einige gute Punkte hier. Aber * Passwörter innerhalb des Perimeters einfacher zu machen und sicherzustellen, dass Sie Leute mit Waffen am Rande haben * ist meiner Meinung nach völlig falsch. Vermeiden Sie zunächst Passwörter. Zweitens ist zu beachten, dass Insider-Angriffe neben Firewall-Penetrationen im Allgemeinen eine große Bedrohung darstellen. Erinnern Sie sich an den alten Hacker-Witz: ** „Wie sind Unternehmensnetzwerke wie ein Schokoriegel? Sie sind beide außen hart und knusprig und innen weich und zäh. “**
+1, gute Antwort. @nealmcb, bemerkt, dass @beth von einem Kriegsgebiet sprach - die klare und gegenwärtige Gefahr * sind * Männer mit Waffen. Besser dran, um eine "einfachere" Sicherheit (bei der die höhere Priorität darin besteht, schneller zu den C & C- / Raketensteuerungs- / Nachrichtensystemen zu springen) auf Passwortebene zu haben und Ausgleichskontrollen für den Fall zu haben, dass die Position überschritten wird (wie es letztendlich sein wird) ) und Passwörter, möglicherweise durch Folter. Denken Sie daran, das ist Krieg! ;)
@AviD und @nealmcb - genau. Ich bin ein Verteidigungsunternehmen. Ich meine wirklich ein Kriegsgebiet. Ich wurde mehrfach gebeten, die Sicherheit auf Benutzerebene zu verringern, da die Bedrohung durch die physische Welt der Verlust von Leben war, der den Verlust von Informationen übertrumpfte. Wie @AviD sagt - Dinge, die sich auf Null setzen, übertreffen Dinge mit ernsthafter Authentifizierung. Ich stimme voll und ganz zu, dass die Welt in einem Unternehmensumfeld ganz anders ist. Passwörter vermeiden - nicht immer auf allen COTS-Systemen möglich. Manchmal muss man einfach mit etwas unglaublich Einfachem gehen.
@beth, und nachdem ich einige dieser Systeme verwendet habe, kann ich sagen, dass es manchmal besser ist, mit der verbalen Authentifizierung zu arbeiten - das heißt, die sicheren Funksysteme aufzurufen und * mit jemandem zu sprechen, der Sie kennt *. persönlich.
@AviD - fair genug ... Ich kenne genau einige dieser Situationen ... obwohl es den Punkt aufwirft, dass Sie ihm einen einfachen Weg geben sollten, wenn Sie möchten, dass der Typ im Radio sein Radio nicht mehr im Freien benutzt um sein Radio zu tasten und es ohne Autorisierungsparameter zu benutzen ...
ayup, das bewegt wirklich nur die Anforderung herum ...
@avid @beth, bedankt sich für die Klarstellungen - mir ist eigentlich nicht in den Sinn gekommen, dass das keine metaphorische Sprache ist. Diese Antwort passt also gut zum eigentlichen Thema dieser Frage. Ich würde immer noch sagen, dass dies hauptsächlich die Kompromisse bis zu einem gewissen Grad verändert, und ich bin mir immer noch nicht sicher, wie gut Leute mit Waffen ein Netzwerk sichern können, aber +100, um die tatsächlichen Bedrohungen und Kompromisse im Auge zu behalten und Menschen nicht mit unangemessener Sicherheit zu verwechseln Verfahren.
@beth - Dies ist eine ziemlich gute Antwort. Ich denke, die Schwierigkeit liegt darin, dass Sie ein Startup erstellen, das sehr sicher sein muss, aber auch unterfinanziert ist. Es ist viel einfacher, etwas in der Entwurfsphase gut zu sichern, als nach der Implementierung, und das Geld fließt (hoffentlich) ein.
@user1971 - richtig, und hier kommt TM ins Spiel: Es kann Ihnen zeigen, wo Sie die minimale Menge an Sicherheitsressourcen ausgeben müssen und wo / wie Sie sie am klügsten einsetzen können.
@nealmb - fair genug. Sie können das Netzwerk physisch (meistens) sichern, wenn Sie über ein LAN verfügen. Wenn Sie ein WAN haben, benötigen Sie eine Verschlüsselung von Ort zu Ort ... Und nichts ist perfekt ... Die Übertragung von Luftwellen wird wahrnehmbar sein, selbst wenn sie verschlüsselt ist usw. usw.
#3
+13
AviD
2011-04-26 23:51:02 UTC
view on stackexchange narkive permalink

Wenn Sie Schneier lesen, sind Sie mit einer der Grundvoraussetzungen für "intelligente" Sicherheit vertraut, die er ebenfalls stark vorantreibt:

Sicherheit ist ein Kompromiss.

Es ist einfach nicht sinnvoll, auf Ihren Systemen vollmetallisch paranoid zu sein, da die Sicherheit sowieso NIEMALS 100% sein kann (früher wurde uns gesagt, dass der einzige Weg, 100% zu sein, das Herausziehen des Netzsteckers ist der Computer ... jetzt wissen wir, dass das immer noch nicht 100% ist.
Außerdem ist es nicht sinnvoll, mehr auszugeben, als Sie schützen ... ZB Würden Sie jemandem (Bank, Sicherheitspersonal usw.) 1000 $ zahlen, nur um 100 $ zu schützen? Nein natürlich nicht.

Und das ist wirklich das Fleisch davon, was angemessen ist, hängt sehr davon ab, wer du bist, wo du bist, was du hast, wer dich holen will usw. usw. - wie @Rory schrieb.

Sie sollten also Ihre knappen Sicherheitsressourcen besser an einem intelligenten Ort ausgeben und den Rest sparen - und es wird da sein, wenn es einen unvorhersehbaren Hack gibt ( wenn , nicht wenn).

Woher wissen Sie, wo Sie Ihre Anstrengungen unternehmen müssen?
Woher wissen Sie, wann es sicher genug ist?

Wie @bethlakshmi betonte, hilft hier "Risikoanalyse" .

Insbesondere empfehle ich eine strukturierte Übung zur Bedrohungsmodellierung, um die geschützten Assets, die Bedrohungsagenten (die Ihnen Schaden zufügen möchten), die Bedrohungspfade / -bäume (wie sie es tun werden) zu ermitteln. und so weiter. Dies kann Ihre wahrscheinlichen und sogar die weniger wahrscheinlichen Bedrohungen sehr effektiv abbilden.
Kombinieren Sie dies mit einem quantitativen Risikoanalyse-Framework (wie FAIR), und Sie werden kennen genau , wie viel Sie für die Minderung jeder Bedrohung ausgeben müssen.

Wie @Rory betonte, werden Sie wahrscheinlich feststellen, dass Sie trotz Ihrer Paranoia zu viel Geld und Ressourcen am falschen Ort einsetzen.

+1 Auf der 100% Sicherheit ist Bit unmöglich. Ich mag die Tatsache, dass Sie auf einige tatsächliche Methoden für die Entscheidungsfindung hingewiesen haben. Danke für das. Ich muss diese recherchieren und weiter kommentieren. Vielen Dank für Ihre Antwort.
#4
+3
Cort Ammon
2015-12-29 05:13:12 UTC
view on stackexchange narkive permalink

Der effektivste Weg, um aus der Sicherheits-OCD herauszukommen, ist die Entwicklung eines Bedrohungsmodells. Wem widersetzen Sie sich? Eine russische Mafia, die dich mit Randomsware erpressen will? Das unachtsame Schnüffeln der NSA? Vielleicht die Hauptlast des gesamten FBI / CIA / NSA-Komplexes (wenn Sie Snowden oder ähnliches sind)? Oder versuchen Sie nur, Ihre kleine Schwester davon abzuhalten, Online-Spiele auf Ihrem Konto zu spielen? Wie lange muss diese Bedrohung Sie angreifen? Versuchen sie, ein Alarmsystem einzuschalten, damit sie Sie in 30 Sekunden ausrauben können, oder versuchen sie, Advanced Persistent Threats subtil in Ihr LAN zu injizieren, um die Kontrolle über Ihre Kryptoschlüssel über ein Jahrzehnt hinweg zu übernehmen? P. >

Verwenden Ihre Angreifer keine Gummischlauch-Kryptoanalysetechniken?

Mit diesen Fragen können Sie verstehen, um welche Bedrohung es sich tatsächlich handelt. Ohne das ist es nicht wirklich möglich festzustellen, wie schlimm ein Angriff für Sie tatsächlich ist, und OCD-Paranoia schleicht sich ein, wenn Sie versuchen, sich gegen alles zu verteidigen.

Eine andere Sache, die hilft, ist ein Zitat, auf das ich mich verlasse. Sie erwähnen, dass etwas zu 100% zuverlässig / sicher ist, wie z. B. nukleare Abschreckungsmittel. Ein kleines Geheimnis: nichts ist 100% sicher, nicht einmal die Atomwaffen unserer Nation. Das nächste, das ich gesehen habe, ist der L4-Kernel, für den ein mechanisch unterstützter Beweis zeigte, dass sich die L4-Kernel-Implementierung, die von einem perfekt 100% standardkonformen Compiler kompiliert wurde, genau so verhält, wie es die API vorschreibt. Wie auch immer, das Zitat, das ich Kevin Mitnick immer zugeschrieben habe, aber kürzlich festgestellt habe, dass es eher von Gene Spafford gesagt wird:

Das einzige wirklich sichere System ist eines, das ausgeschaltet ist. Unplugged, in einen Betonblock gegossen und in einem mit Blei ausgekleideten Raum in einem unterirdischen Bunker mit bewaffneten Wachen versiegelt, und selbst dann überprüfte ich es von Zeit zu Zeit.

#5
+1
Kerbie
2011-09-29 04:13:30 UTC
view on stackexchange narkive permalink

Wenn Sie 10 dumme Dinge identifizieren können, die selbst "erfahrene" IT-Mitarbeiter tun, und sich dafür entscheiden, diese 10 dummen Dinge nicht zu tun, können Sie Ihr Selbstvertrauen stärken und sich emotional besser fühlen.

Beispiel: Herunterladen Programmieren Sie .exe's und sogar .lib's für Open Source-Programme von weit entfernten Orten und unbekannten Personen, nur weil Sie zu faul sind, den Quellcode selbst zu kompilieren.



Diese Fragen und Antworten wurden automatisch aus der englischen Sprache übersetzt.Der ursprüngliche Inhalt ist auf stackexchange verfügbar. Wir danken ihm für die cc by-sa 3.0-Lizenz, unter der er vertrieben wird.
Loading...